OPENSSL-VERIFY(1ssl) OpenSSL OPENSSL-VERIFY(1ssl)

openssl-verify - ابزار اعتبارسنجی گواهی‌های X.509

openssl verify [-help] [-CRLfile filename|uri] [-crl_download] [-show_chain] [-verbose] [-trusted filename|uri] [-untrusted filename|uri] [-vfyopt nm:v] [-nameopt option] [-CAfile file] [-no-CAfile] [-CApath dir] [-no-CApath] [-CAstore uri] [-no-CAstore] [-engine id] [-allow_proxy_certs] [-attime timestamp] [-no_check_time] [-check_ss_sig] [-crl_check] [-crl_check_all] [-explicit_policy] [-extended_crl] [-ignore_critical] [-inhibit_any] [-inhibit_map] [-partial_chain] [-policy arg] [-policy_check] [-policy_print] [-purpose purpose] [-suiteB_128] [-suiteB_128_only] [-suiteB_192] [-trusted_first] [-no_alt_chains] [-use_deltas] [-auth_level num] [-verify_depth num] [-verify_email email] [-verify_hostname hostname] [-verify_ip ip] [-verify_name name] [-x509_strict] [-issuer_checks] [-provider name] [-provider-path path] [-provparam [name:]key=value] [-propquery propq] [--] [certificate ...]

این دستور زنجیره‌های گواهی را اعتبارسنجی می‌کند. چنانچه یک زنجیره گواهی دارای چندین مشکل باشد، این برنامه تلاش می‌کند تا تمام آن‌ها را نمایش دهد.

چاپ پیام راهنمای استفاده از دستور.
فایل یا نشانی (URI) باید حاوی یک یا چند فهرست ابطال گواهی (CRL) با قالب PEM یا DER باشد. این گزینه می‌تواند بیش از یک بار مشخص شود تا CRLها از چندین منبع مختلف وارد شوند.
تلاش برای بارگیری اطلاعات CRL برای گواهی‌ها از طریق ورودی‌های CDP آن‌ها.
نمایش اطلاعات مربوط به زنجیره گواهی ساخته‌شده (در صورت موفقیت‌آمیز بودن). گواهی‌های موجود در زنجیره که از فهرست نامعتمد آمده‌اند با برچسب "untrusted" مشخص خواهند شد.
چاپ اطلاعات تکمیلی و جزئیات بیشتر درباره عملیات در حال انجام.
یک فایل یا نشانی (URI) از گواهی‌های معتمد (کم‌وبیش قابل اعتماد). برای اطلاعات بیشتر درباره تنظیمات اعتماد، openssl-verification-options(1) را ببینید.

این گزینه می‌تواند بیش از یک بار برای بارگذاری گواهی‌ها از چندین منبع مختلف مشخص شود.

یک فایل یا نشانی (URI) از گواهی‌های نامعتمد جهت استفاده در ساخت زنجیره. این گزینه می‌تواند بیش از یک بار برای بارگذاری گواهی‌ها از چندین منبع مختلف مشخص شود.
ارسال گزینه‌ها به الگوریتم امضا در حین عملیات اعتبارسنجی. نام‌ها و مقادیر این گزینه‌ها وابسته به الگوریتم هستند.
نحوه نمایش نام‌های موضوع (subject) یا صادرکننده (issuer) را مشخص می‌کند. برای جزئیات بیشتر، openssl-namedisplay-options(1) را ببینید.
بخش «گزینه‌های موتور» (Engine Options) در openssl(1) را ببینید. این گزینه منسوخ شده است.

برای بارگذاری گواهی‌ها یا CRLهایی که به پشتیبانی موتور (engine) نیاز دارند، گزینه -engine را پیش از هر یک از گزینه‌های -trusted، -untrusted یا -CRLfile مشخص کنید.

برای جزئیات بیشتر، بخش «گزینه‌های گواهی‌های معتمد» (Trusted Certificate Options) در openssl-verification-options(1) را ببینید.
تنظیم گزینه‌های گوناگون اعتبارسنجی زنجیره گواهی. برای جزئیات بیشتر، بخش «گزینه‌های اعتبارسنجی» (Verification Options) در openssl-verification-options(1) را ببینید.
بخش «گزینه‌های ارائه‌دهنده» (Provider Options) در openssl(1)، provider(7) و property(7) را ببینید.
--
نشان‌دهنده پایان گزینه‌ها است. تمام آرگومان‌های پس از آن به عنوان فایل‌های گواهی در نظر گرفته می‌شوند. این گزینه زمانی مفید است که نام اولین فایل گواهی با - شروع شود.
یک یا چند گواهی هدف برای اعتبارسنجی، هر کدام در یک فایل. اگر هیچ گواهی مشخص نشود، این دستور تلاش خواهد کرد تا یک گواهی را از ورودی استاندارد بخواند.

توجه داشته باشید که نخستین پارامتری که با - آغاز نشود، فهرست گزینه‌ها را پایان داده و فهرست گواهی‌ها را شروع می‌کند. اگر گزینه‌ای را پس از نام فایل گواهی قرار دهید، به عنوان گزینه تفسیر نشده بلکه به عنوان فایل گواهی در نظر گرفته خواهد شد.

هنگامی که عملیات اعتبارسنجی با شکست مواجه می‌شود، پیام‌های خروجی ممکن است تا حدی مبهم باشند. شکل کلی پیام خطا به صورت زیر است:

server.pem: /C=AU/ST=Queensland/O=CryptSoft Pty Ltd/CN=Test CA (1024 bit)
error 24 at 1 depth lookup:invalid CA certificate

خط اول شامل نام گواهی در حال اعتبارسنجی و سپس نام موضوع (subject) آن گواهی است. خط دوم شامل شماره خطا و عمق (depth) است. عمق، شماره گواهی در حال اعتبارسنجی در هنگام تشخیص مشکل است که از صفر برای خود گواهی هدف (گواهی برگ یا "leaf") شروع شده، سپس ۱ برای مرجع صدور گواهی (CA) امضاکننده گواهی هدف و به همین ترتیب ادامه می‌یابد. در نهایت نسخه متنی شماره خطا نمایش داده می‌شود.

فهرستی از کدها و پیام‌های خطا را می‌توان در X509_STORE_CTX_get_error(3) یافت؛ فهرست کامل در فایل سرآیند <openssl/x509_vfy.h> تعریف شده است.

این دستور بسیاری از خطاها را نادیده می‌گیرد تا امکان شناسایی تمام مشکلات موجود در یک زنجیره گواهی فراهم شود.

openssl-verification-options(1), openssl-x509(1), ossl_store-file(7)

گزینه -show_chain در OpenSSL 1.1.0 افزوده شد.

گزینه -engine در OpenSSL 3.0 منسوخ شد.

حق نشر ۲۰۰۰-۲۰۲۶ نویسندگان پروژه OpenSSL. تمامی حقوق محفوظ است.

تحت مجوز آپاچی نسخه ۲.۰ ("مجوز") منتشر شده است. شما نمی‌توانید از این فایل استفاده کنید مگر در انطباق با این مجوز. می‌توانید یک نسخه از آن را در فایل LICENSE در توزیع منبع یا در https://www.openssl.org/source/license.html دریافت کنید.

2026-08-25 3.6.4